码迷,mamicode.com
首页 > 其他好文 > 详细

Myking&暗云III病毒查杀方法

时间:2020-02-28 19:03:52      阅读:106      评论:0      收藏:0      [点我收藏+]

标签:width   防火   计划   删除   启动   重启   永恒   bsp   auto   

病毒现象

  1. 服务器出现卡顿、CPU飙升
  2. 和其他主机的445端口、1433,建立起大量的连接
  3. 存在大量Powershell进程
  4. 感染MBR扇区
  5. 被感染主机的445端口被异常关闭,且防火墙被添加“deny tcp 445”策略,IPsec被添加“win”策略

病毒处置

  1. 封堵445端口; 或打永恒之蓝漏洞补丁

  2. 在AF等设备添加规则,限制访问下列域名和IP:

ftp.ftp0930.host
pool.minexmr.com
raw.githubusercontent.com
wmi.1217bye.host
own.mysking.info
js.ftp0930.host
js.mykings.top
ftp.ftp0118.info
ok.mymyxmra.ru
mbr.kill0604.ru

173.208.139.170
35.182.171.137
45.58.135.106
103.213.246.23
78.142.29.152
74.222.14.61
18.218.14.96
223.25.247.240
223.25.247.152
103.95.28.54
23.88.160.137
81.177.135.35
78.142.29.110
174.128.239.250
66.117.6.174

  1. 使用Autoruns,删除启动项:start
    技术图片

  2. 使用Autoruns,删除计划任务: Mysa、Mysa1、Mysa2、Mysa3、ok
    技术图片

  3. 使用Autoruns,删除WMI:fuckyoumm4
    技术图片

  4. 删除病毒母体:C:\Windows\system\my1.bat
    技术图片

  5. 使用EDR终端杀软全盘查杀

  6. 使用《暗云III专杀工具》对MBR进行清除并重启 :http://dlied6.qq.com/invc/xfspeed/qqpcmgr/other/SystemAidBoxPro.zip

 

病毒详情

https://www.freebuf.com/vuls/194515.html

Myking&暗云III病毒查杀方法

标签:width   防火   计划   删除   启动   重启   永恒   bsp   auto   

原文地址:https://www.cnblogs.com/yyxianren/p/12378248.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!